何が起きたか
この事故で流出した、または流出したおそれがある情報は、影響を受けた店舗の顧客の氏名、メールアドレス、電話番号、配送先住所。パスワードとカード情報は別に保管されていて含まれないと説明した。人数は公表されていないです。その後の対応と影響は、基盤会社は影響を受けた店舗からアプリを外し、出店者に知らせ、ログを開発元の調査に渡した。英国の店舗は情報コミッショナー事務局（ICO）に届け出たです。
原因になったのは「外部アプリの認証情報とアプリケーションキーの盗用」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因確定
アプリ開発元が持つ認証情報とアプリケーションキーが盗まれ、攻撃者はそのキーで基盤上の顧客記録にアクセスした。基盤会社は自社の基盤は侵入されていないと説明した。
- 1つ外側 流出した情報報道
影響を受けた店舗の顧客の氏名、メールアドレス、電話番号、配送先住所。パスワードとカード情報は別に保管されていて含まれないと説明した。人数は公表されていない。
- いちばん外側 その後の対応と影響報道
基盤会社は影響を受けた店舗からアプリを外し、出店者に知らせ、ログを開発元の調査に渡した。英国の店舗は情報コミッショナー事務局（ICO）に届け出た。
なぜ起きたか
外部アプリの開発元が持っていた認証情報とキーが攻撃者の手に渡り、そのキーに与えられていた顧客記録への権限がそのまま使われた。盗まれた経緯は公表されていない。
原因の種類は「委託先での事故」です。業務を任せていた会社のシステムで起きた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は40件あります。
事故が起きてから公表されるまで
- 2026年9月13日攻撃者が店舗の顧客データにアクセスし始める
- 2026年9月17日基盤会社が外部アプリの認証情報の盗用を確かめる
- 基盤会社がアプリを外し、出店者に通知する
- 2026年9月21日報道で公になる
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）外部アプリに渡す権限を必要な範囲に絞り、アプリのキーを定期的に作り直して、通常と違う大量の読み出しを検知していれば、被害の範囲を狭められた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 自社のネットショップに入れている外部アプリと、それぞれに与えた権限を一覧にする
- 顧客情報を読み出す権限が本当に必要なアプリかを確かめ、不要な権限を外す
- 使っていないアプリを削除し、残すアプリのキーを作り直す
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
